[發(fā)明專利]一種基于攻擊圖的云外包服務(wù)數(shù)據(jù)泄露安全測試用例自動(dòng)化生成方法

有效

• 申請?zhí)枺?/td>: 201910200929.1
• 申請日: 2019-03-18
• 公開（公告）號: CN110022311B
• 公開（公告）日: 2021-09-24
• 發(fā)明（設(shè)計(jì)）人: 樊旭東;詹靜;趙勇;高雅琪;韓瑾
• 申請（專利權(quán)）人: 北京工業(yè)大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京思海天達(dá)知識產(chǎn)權(quán)代理有限公司 11203
• 代理人: 沈波

1.一種基于攻擊圖的云外包服務(wù)數(shù)據(jù)泄露安全測試用例自動(dòng)化生成方法，其特征在于，該方法包括以下4個(gè)步驟：

步驟1基于數(shù)據(jù)流分析的覆蓋云外包數(shù)據(jù)服務(wù)生命周期的數(shù)據(jù)泄露檢測指標(biāo)生成方法；

本步驟將結(jié)合云外包數(shù)據(jù)服務(wù)場景下的DO數(shù)據(jù)生命周期，分析生命周期中存在的威脅角色及不同服務(wù)模式下威脅角色之間的關(guān)系，從攻擊者視角對正常數(shù)據(jù)流進(jìn)行分析，依次按照數(shù)據(jù)所處不同位置，針對不同層次的服務(wù)商以及被攻擊對象自動(dòng)化生成數(shù)據(jù)泄露檢測指標(biāo)；

步驟2基于數(shù)據(jù)泄漏攻擊對象攻擊樹模型的攻擊圖自動(dòng)化構(gòu)建；

本步驟2將基于步驟1中生成的數(shù)據(jù)泄露檢測指標(biāo)，結(jié)合數(shù)據(jù)生命周期的不同階段及數(shù)據(jù)具體流向，采用攻擊樹模型來描述數(shù)據(jù)流經(jīng)關(guān)鍵點(diǎn)被攻擊對象的具體攻擊方式，并組合被攻擊對象、攻擊路徑及攻擊方式構(gòu)建攻擊圖；

步驟3基于攻擊圖及XML安全測試描述語言自動(dòng)化生成XML安全測試用例；

采用XML Schema語言描述的XSD文件對XML安全測試文件中包含的場景數(shù)據(jù)元素與屬性字段進(jìn)行定義，包括三部分?jǐn)?shù)據(jù)元素：攻擊策略元素AttackStrategy、測試策略元素TestStrategy以及測試報(bào)告元素TestReport；

其中，攻擊策略元素是由一條或者多條攻擊路徑attackPath元素組成的集合，定義如下：

attackScenesType，attacker，

attackPath＝attackScriptLocation，attackScriptLanguage，〉attackScript，attackPoint，attackDescription

攻擊策略元素定義了在某種攻擊子場景下，攻擊者使用場景攻擊腳本路徑下某一種編程語言實(shí)現(xiàn)的攻擊腳本對攻擊點(diǎn)發(fā)起攻擊以及攻擊過程的描述；

測試策略元素是由一種或者多種測試方法testMethod元素組成的集合，定義如下：

testScenesType，tester，

testMethod＝testScriptLocation，testScriptLanguage，testScript，testTime

測試策略元素定義了在某種攻擊后的子場景下，測試者使用該場景測試腳本路徑下某一種編程語言實(shí)現(xiàn)的測試腳本對該場景是否存在某類攻擊進(jìn)行安全測試以及執(zhí)行的測試次數(shù)；

測試報(bào)告元素不包含其他子元素，描述測試者進(jìn)行安全測試的測試日期以及測試報(bào)告的存儲路徑，定義如下：

TestReport＝tester，dir，testDate

基于攻擊圖與XML安全測試描述語言，生成XML安全測試用例基本步驟如下：

對步驟2中的攻擊圖執(zhí)行深度優(yōu)先遍歷算法，從正常狀態(tài)節(jié)點(diǎn)出發(fā)，得到其鄰接節(jié)點(diǎn)后，依次對所有鄰接節(jié)點(diǎn)元素進(jìn)行遍歷，得到所有從正常狀態(tài)節(jié)點(diǎn)出發(fā)到異常狀態(tài)節(jié)點(diǎn)的攻擊路徑；

對每一條攻擊路徑，通過定義的AttackStrategy元素去描述每一條攻擊路徑對應(yīng)的攻擊策略，包括attackScriptLanguage，attackScriptLocation，attackScript內(nèi)容；

依據(jù)定義的TestStrategy元素描述測試策略，包括testScriptLanguage，testScriptLocation，testScript內(nèi)容，同時(shí)依據(jù)定義的TestReport元素描述tester，dir，testDate內(nèi)容，待攻擊圖遍歷完畢之后，創(chuàng)建XML文件，最終生成XML安全測試用例；

步驟4基于模板的安全測試腳本自動(dòng)化生成；

根據(jù)shell語言的基本語法格式，所定義的腳本生成模板內(nèi)容包括該腳本使用的shell解釋器以及相關(guān)注釋說明；

首先通過xml.etree.ElementTree模塊，將XML格式的安全測試用例轉(zhuǎn)化ET樹；對元素樹進(jìn)行遍歷，首先獲取XML安全測試用例中AttackStrategy元素對象，依次獲取attackPath子元素對象，將attackPath下的attackScript、attackScriptLanguage、attackScriptLocation元素值組合并進(jìn)行語法轉(zhuǎn)換；

同樣對TestStrategy子元素testStrategy下的testScript、testScriptLanguage、testScriptLocation元素值以及TestReport中的tester，dir，testDate值組合并進(jìn)行語法轉(zhuǎn)換后，寫入到初始安全測試腳本生成模板中；

最后輸出shell支持的可執(zhí)行安全測試腳本，完成安全測試腳本的自動(dòng)化生成過程，用于后續(xù)的安全測試。